Viele Inhaberinnen und Inhaber kleiner Betriebe gehen davon aus, dass Cyberangriffe vor allem große Konzerne treffen. Die Zahlen sprechen eine andere Sprache: Laut dem aktuellen Lagebericht des Bundesamts für Sicherheit in der Informationstechnik (BSI) richteten sich im Berichtszeitraum von Juli 2024 bis Juni 2025 rund 80 Prozent der angezeigten Angriffe, etwa mit Ransomware, gegen kleine und mittlere Unternehmen. IT-Sicherheit für KMU ist damit kein Nischenthema mehr, sondern eine Alltagsfrage für Büro, Handwerk, Gastronomie und Handel.
Der folgende Beitrag ordnet ein, wo die größten Lücken liegen, welche Basismaßnahmen das BSI empfiehlt und wie kleine Unternehmen sich mit vertretbarem Aufwand besser schützen können.
Warum IT-Sicherheit für KMU längst kein Nebenthema mehr ist
Der BSI-Lagebericht 2025 zeigt eine angespannte Situation: Im Berichtszeitraum wurden durchschnittlich täglich 119 neue Schwachstellen in IT-Systemen bekannt – ein Anstieg von rund 24 Prozent gegenüber dem Vorjahreszeitraum. Bei den angezeigten Ransomware-Fällen kam es in 72 Prozent der Fälle zusätzlich zu einem Datenleak, also zum Abfluss oder zur Veröffentlichung von Daten. Kleine Betriebe sind dabei kein Zufallsziel, sondern werden gezielt angegriffen, weil ihnen häufig die Mittel und das Wissen für eine solide Absicherung fehlen, während wertvolle Kunden- und Buchhaltungsdaten trotzdem vorhanden sind.
Für die Geschäftsführung bedeutet das: IT-Sicherheit ist kein rein technisches Thema, das man an eine einzelne Person delegiert, sondern eine Frage der Betriebssicherheit – vergleichbar mit Brandschutz oder Versicherungsschutz.
Die typischen Einstiegspunkte für Angriffe
Phishing-Mails
Der häufigste Weg ins Unternehmensnetzwerk führt weiterhin über gefälschte E-Mails, die zum Klicken auf einen Link oder zum Öffnen eines Anhangs verleiten. Ein einziger unaufmerksamer Klick reicht oft aus, um Schadsoftware ins System zu bringen.
Veraltete Software
Bekannte, aber nicht geschlossene Sicherheitslücken in Betriebssystemen, Buchhaltungsprogrammen oder Kassensystemen sind ein bevorzugtes Einfallstor. Wer Updates aufschiebt, weil sie im Alltag stören, vergrößert genau die Angriffsfläche, die das BSI in seinem Lagebericht als wachsendes Risiko beschreibt.
Backups, die im Ernstfall nicht funktionieren
Viele Betriebe sichern zwar Daten, testen die Wiederherstellung aber nie. Im Ernstfall zeigt sich dann, dass die Sicherung unvollständig, veraltet oder ebenfalls verschlüsselt ist – und die eigentliche Erpressung erst richtig wirkt.
Die Basismaßnahmen, die das BSI empfiehlt
Das BSI hat seine zehn Basistipps zur Cyber-Sicherheit für Unternehmen veröffentlicht. Für kleine Betriebe sind vor allem diese Punkte im Alltag umsetzbar:
- Daten sichern und Backups testen: Regelmäßige, vom Produktivsystem getrennte Sicherungen, deren Wiederherstellung tatsächlich funktioniert.
- Patchen: Sicherheitsupdates für Betriebssysteme, Kassen- und Bürosoftware zeitnah einspielen, statt sie aufzuschieben.
- Mitarbeitende schulen: Wiederkehrende, kurze Awareness-Maßnahmen statt einer einmaligen Einweisung, da sich Angriffsmuster laufend ändern.
- „Kronjuwelen“ schützen: Wissen, wo die wichtigsten Daten liegen (Kundendaten, Buchhaltung, Verträge), und diese besonders absichern.
- Verschlüsselung als Standard: Für E-Mail-Verkehr und mobile Geräte konsequent einsetzen.
Keine dieser Maßnahmen ist für sich genommen aufwendig. Entscheidend ist, dass sie dauerhaft und nicht nur einmalig umgesetzt werden.
Der CyberRisikoCheck: ein strukturierter Einstieg für kleine Unternehmen
Für Betriebe mit weniger als 50 Beschäftigten bietet das BSI gemeinsam mit dem Bundesverband mittelständische Wirtschaft den CyberRisikoCheck nach DIN SPEC 27076 an. Ein IT-Dienstleister führt dabei ein Interview von ein bis zwei Stunden entlang von 27 Anforderungen aus sechs Themenbereichen durch. Am Ende steht ein Punktescore zum aktuellen IT-Sicherheitsniveau sowie eine priorisierte Liste an Empfehlungen für die Punkte, die noch nicht erfüllt sind – inklusive Hinweisen auf mögliche Fördermöglichkeiten. Wichtig zu wissen: Es handelt sich nicht um eine Zertifizierung, sondern um eine Standortbestimmung. Die zugrunde liegende Prüf-Anwendung stellt das BSI IT-Dienstleistern kostenfrei zur Verfügung; was ein Dienstleister für die Durchführung berechnet, ist individuell zu klären.
Ein solcher Check eignet sich gut als erster Schritt, wenn im Betrieb bislang niemand eine klare Vorstellung vom eigenen Sicherheitsniveau hat.
Sicherheit dort verankern, wo ohnehin gearbeitet wird
Ein Check allein löst noch keine Probleme – die Empfehlungen müssen anschließend auch technisch umgesetzt werden. Das betrifft oft genau die Systeme, mit denen im Betrieb täglich gearbeitet wird: Buchhaltungssoftware, interne Dashboards oder Schnittstellen zu externen Plattformen. Wer bestehende Unternehmenssoftware ohnehin warten oder weiterentwickeln lässt, kann Backup-Routinen, Update-Prozesse und Zugriffsrechte gleich mit einplanen, statt sie als separates Projekt zu behandeln. Genau das ist Aufgabe der laufenden Betreuung bestehender Systeme: technische Analyse, regelmäßige Wartung und eine ehrliche Einschätzung, wo Nachholbedarf besteht.
Häufige Fragen
Ab welcher Unternehmensgröße lohnt sich ein IT-Sicherheitscheck?
Der CyberRisikoCheck des BSI ist speziell für Kleinst- und Kleinunternehmen mit weniger als 50 Beschäftigten konzipiert. Auch ein Zwei-Personen-Büro oder ein Handwerksbetrieb mit eigener Buchhaltungssoftware profitiert, weil sich Lücken oft erst im Alltag zeigen, nicht auf dem Papier.
Reicht ein Cloud-Speicher als Backup aus?
Ein reiner Cloud-Sync ersetzt kein echtes Backup: Wird eine Datei fehlerhaft gespeichert oder durch Ransomware verschlüsselt, synchronisiert sich dieser Zustand mit in die Cloud. Nach den Basistipps des BSI gehört eine getrennte, regelmäßig getestete Datensicherung zum Kern der Absicherung – unabhängig davon, ob zusätzlich eine Cloud-Lösung genutzt wird.
Wie oft sollten Mitarbeitende zu Phishing & Co. geschult werden?
Das BSI empfiehlt wiederkehrende, kurze Awareness-Maßnahmen statt einer einmaligen Schulung. Da sich Angriffsmuster laufend verändern, verliert eine einzelne Einweisung schnell ihre Wirkung.
Was kostet IT-Sicherheit für ein kleines Unternehmen?
Das lässt sich nicht pauschal beantworten – der Aufwand hängt stark von der bestehenden IT-Landschaft, der Branche und dem aktuellen Sicherheitsniveau ab. Ein strukturierter Check wie der CyberRisikoCheck oder ein Gespräch mit einem IT-Dienstleister schafft hier zunächst Klarheit, bevor konkrete Maßnahmen geplant werden.
IT-Sicherheit für KMU lässt sich nicht an einem Nachmittag abhaken, aber auch nicht auf unbestimmte Zeit verschieben. Wer mit Backups, Updates und regelmäßiger Schulung beginnt, deckt bereits die größten Risiken ab. Wenn Sie wissen möchten, wie sicher Ihre bestehenden Systeme und Prozesse tatsächlich sind, sprechen wir gerne unverbindlich darüber – nehmen Sie Kontakt mit uns auf oder buchen Sie direkt einen Termin.
